[ITmedia エンタープライズ] Microsoft、10月の月例更新で脆弱性1413件に対応 悪用確認済みの脆弱性は

Microsoftは2026年10月の月例セキュリティ更新プログラムで、1413件の脆弱性に対応した。その中には、既に攻撃への悪用が確認された脆弱性が含まれる。同社は、大量の脆弱性に優先順位を付けるための考え方も紹介した。

» 2026年10月16日 07時00分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　Microsoftは2026年10月13日（現地時間）、月例のセキュリティ更新プログラムを公開した。同社のリリースノートによると、今回の更新は1413件の脆弱（ぜいじゃく）性（CVE）に対応する。製品ファミリー別では「Windows」が1102件と大半を占める。「Microsoft Office」が134件、開発者ツールが61件、「Microsoft SharePoint Server」が36件と続く。「Microsoft Exchange Server」や「Microsoft Azure」「Microsoft Defender」も修正の対象だ。

　Microsoftは、多くの顧客にとって更新プログラムの早期適用が優先事項だとする。一方で同社は、更新プログラムが扱う脆弱性が増えるほど、どれに直ちに対応すべきかの判断が、複雑な環境を持つ顧客の課題になると説明する。

　今回の更新には、既に攻撃への悪用が確認された脆弱性が含まれる。どの製品の、どのような脆弱性なのか。

悪用が確認された脆弱性とは

　Microsoftが悪用を確認したのは、「Windows Shellのセキュリティ機能のバイパスの脆弱性」（CVE-2026-96951）だ。CVSS（共通脆弱性評価システム）の基本値は8.8で、同社は深刻度を「重要」としている。

　この脆弱性はWindows Shellにおけるコマンドインジェクションに起因する。悪用されると、攻撃者は「Mark of the Web」（MotW）による保護を回避できる。MotWは、インターネットから入手したファイルに付与される印だ。Windowsの警告表示やOfficeの「保護ビュー」といった仕組みは、この印を参照して動作する。保護が回避されると、不正なファイルが警告の表示されないまま開かれるおそれがある。

　Microsoftは、攻撃者が細工したファイルを電子メールやインスタントメッセージで標的に送る攻撃シナリオを想定している。ただし、攻撃者がユーザーにファイルを開くよう強制する手段はなく、ユーザーが操作するよう仕向ける必要があるという。同社が挙げたこの脆弱性の報告者には、富士通の研究者が含まれる。

　「.NET Frameworkのセキュリティ機能のバイパスの脆弱性」（CVE-2026-108398）は、更新プログラムの公開前に情報が公表されていた。

　Microsoftは今回の更新に合わせて、大量の脆弱性を評価する際の優先順位付けの考え方「リスクコホート」を公式ブログで紹介した。リスクコホートでは、評価のために答えるべき問いが共通する脆弱性同士を、一つのグループにまとめる。問いは、導入状況や外部からアクセスできるかどうかなど、自社環境に関するものだ。その問いに一度答えてから個々の脆弱性を確認するという手法だ。同社はこれを探索的な取り組みと位置付けており、悪用の有無や深刻度に基づく個別の評価は引き続き必要だとしている。

関連記事

• Microsoftが6月の月例パッチを公開　BitLockerやExchangeにゼロデイ脆弱性
  Microsoftが2026年6月の月例セキュリティ更新プログラムを公開した。WindowsやOffice、Azureなど広範囲な製品が対象で、悪用確認済みのゼロデイ脆弱性などが修正された。同社は早急な適用を呼びかけている。

関連リンク

• October 2026 Security Updates
• CVE-2026-96951
• Using risk cohorts to prioritize security updates

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。

SpecialPR

メールマガジンのお知らせ

• プルデンシャル生命の調査報告書を読む - ニデックは「トップがつくった体質」、プルデンシャルは「制度がつくった体質」 [オルタナティブ・ブログ]
• タイムズカー、焼肉きんぐなど数十社情報漏えい総まとめ　公表が相次ぐ3週間に何が起きたのか［セキュリティ］

注目のテーマ

人気記事ランキング

1. 「銀のさら」最大650万件漏えいか　委託先ランサム被害で預けたデータ取り出せず　点検すべき4項目
2. タイムズカー、焼肉きんぐなど数十社情報漏えい総まとめ　公表が相次ぐ3週間に何が起きたのか
3. Active Directoryが“人質”に　ランサムウェアを使わない恐喝攻撃の手口とは
4. 「やっと前に進める」　VMwareから独立して2年、Omnissa竹下社長が語る守りから攻めへの転換
5. 狙われるのは企業だけじゃない、あなたの家は大丈夫？　「レジデンシャルプロキシ」の脅威
6. AIデータセンターの電力問題、答えは「計算処理の引っ越し」か？　日立など5社、横浜と北九州をつないで実証
7. Googleの「AppSheet」を悪用した新手のフィッシング攻撃に注意　初回メールに不正リンクがない事例も
8. 「FDEは“成果報酬”にすべきだ」　日本オラクル社長に筆者の持論をぶつけてみた
9. 小規模企業の13.5％、「IT管理を全く行っていない」　ノークリサーチが中堅・中小1300社を調査
10. 2027年には“旧基準”かも　個人情報保護委員会が前倒しで示した情報漏えい対策の新水準